Projekt A hostet ein Pub/Sub-Thema mit vertraulichen Daten, auf das nur Ressourcen in Projekt A zugreifen dürfen. Verhindern Sie, dass Projekt B und zukünftige Projekte auf dieses Thema zugreifen. Was tun Sie?

VPC Service Controls erstellen einen Sicherheitsperimeter um sensible Daten in Google Cloud-Diensten, wie Pub/Sub. Indem Sie einen Perimeter um Projekt A legen, stellen Sie sicher, dass nur Ressourcen innerhalb dieses Perimeters (also Projekt A selbst) auf die Pub/Sub-Themen zugreifen können, selbst wenn IAM-Berechtigungen in anderen Projekten (wie Projekt B) erteilt würden. Dies schützt vor Daten-Exfiltration und unbeabsichtigtem Zugriff durch andere Projekte und zukünftige Projekte. Firewall-Regeln sind für den Netzwerkverkehr innerhalb oder zwischen VPCs gedacht und kontrollieren nicht den Zugriff auf Pub/Sub-Dienste auf API-Ebene. IAM-Bedingungen sind zwar nützlich, aber sie schützen nicht vor dem Fall, dass ein falsch konfiguriertes IAM in einem anderen Projekt Zugriff gewährt. Ein Perimeter um die VPC von Projekt A wäre unzureichend, da Pub/Sub ein globaler Dienst ist und nicht direkt an eine einzelne VPC gebunden ist.